Next.js Blog · Sebastian Silbermann, Josh Story, Karim Rahal ·
Next.js Security Update for Upstream Vulnerabilities
Next.js publicó las versiones 16.4.1 y 15.5.28 para corregir tres vulnerabilidades: dos de ejecución remota de código y una de denegación de servicio. Las fallas afectan, bajo condiciones específicas, a aplicaciones con App Router y Cache Components, a la API de optimización de imágenes al procesar SVG en Linux con glibc, y a Server Actions; no hay una solución alternativa conocida para la primera. Se recomienda actualizar de inmediato; como medida temporal para la vulnerabilidad de imágenes, se puede usar sharp 0.35.5 o posterior.
The October 14, 2026 out-of-band security update for Next.js is now available